Поправени 75 пропусти во платформата за е-трговија Magento

Во отворена платформа за организирање е-трговија Magento, што трае околу 20% пазар на системи за создавање онлајн продавници, идентификувани ранливости, чија комбинација ви овозможува да извршите напад за да го извршите вашиот код на серверот, да стекнете целосна контрола над онлајн продавницата и да организирате пренасочување на плаќањата. Ранливости елиминирани во Magento ги објавува 2.3.2, 2.2.9 и 2.1.18, кои заедно поправија 75 безбедносни проблеми.

Еден проблем му овозможува на неавтентициран корисник да постигне поставеност на JavaScript (XSS) што може да се изврши при прегледување на историјата на откажани купувања во административниот интерфејс. Суштината на ранливоста е можноста да се заобиколи операцијата за чистење текст со помош на функцијата escapeHtmlWithLinks() при обработка на белешка во формуларот за откажување на екранот за наплата (со користење на ознаката „a href=http://onmouseover=...“ вгнездени во друга ознака). Проблемот се манифестира при користење на вградениот модул Authorize.Net, кој се користи за прифаќање плаќања со кредитна картичка.

За да се добие целосна контрола користејќи JavaScript код во контекст на тековната сесија на вработен во продавницата, се искористува втора ранливост, која ви овозможува да вчитате phar-датотека под маската на слика (држи напади „Фар десеријализација“). Датотеката Phar може да се постави преку формуларот за вметнување слика во вградениот уредник WYSIWYG. Откако ќе го постигне извршувањето на неговиот PHP код, напаѓачот потоа може да ги промени деталите за плаќање или да ги пресретне информациите за кредитната картичка на клиентите.

Интересно, информациите за проблемот XSS беа испратени до програмерите на Magento уште во септември 2018 година, по што беше објавена закрпа на крајот на ноември, која, како што се испостави, елиминира само еден од специјалните случаи и лесно се заобиколува. Во јануари, дополнително беше објавено за можноста за преземање на датотека Phar под маската на слика и покажа како комбинација од две пропусти може да се искористи за компромитирање на онлајн продавниците. На крајот на март во Magento 2.3.1,
2.2.8 и 2.1.17 го решија проблемот со Phar-датотеките, но го заборавија поправениот XSS, иако тикетот за издавање беше затворен. Во април, парсирањето на XSS продолжи и проблемот беше поправен во изданијата 2.3.2, 2.2.9 и 2.1.18.

Треба да се напомене дека овие изданија, исто така, поправаат 75 пропусти, од кои 16 се оценети како критични, а 20 проблеми може да доведат до извршување на PHP код или замена на SQL. Повеќето критични проблеми може да ги направи само автентициран корисник, но како што е прикажано погоре, автентицираните операции лесно може да се постигнат со користење на XSS пропусти, од кои неколку десетици се закрпени во забележаните изданија.

Извор: opennet.ru